Fallos del tipo CWE-441

231 resultados

Intermediário não intencional ('Deputado confuso')

Ocorre quando um componente com privilégios é induzido a executar ações em nome de um atacante, sem validar adequadamente se a solicitação veio realmente de quem deveria autorizar. O código confia em identificadores fracos ou contexto incompleto, permitindo que um terceiro abuse da autoridade do componente para acessar recursos ou realizar operações que não conseguiria fazer diretamente.

Ejemplo

Um serviço web interno que processa solicitações de eliminação de arquivos verifica se o usuário está autenticado, mas não valida se a solicitação veio do próprio usuário ou de um terceiro (ex: injeção de referência cruzada ou CSRF). Um atacante induz o navegador da vítima a fazer um pedido de deleção usando os cookies da vítima, e o serviço executa a ação porque reconhece a autenticação, não a origem legítima.

Cómo mitigar

Implemente validação robusta da origem e integridade da solicitação: use tokens CSRF únicos e vinculados à sessão, valide o header Referer/Origin, e aplique autenticação step-up para operações sensíveis. Nunca confie apenas em cookies ou sessão para operações de risco; exija confirmação explícita do usuário ou re-autenticação.

CVE-2026-54663MEDIUMswagger-typescript-api vulnerable to Server-Side Request Forgery via spec `$ref`EPSS 0.2%CVE-2026-48522MEDIUMPyJWKClient: missing scheme allowlist enables SSRF + token forgery via file://, ftp://, data: schemesEPSS 0.2%CVE-2026-121198HIGHConfused deputy in WebUI in Google Chrome prior to 157.0.8103.38 allowed a remote attacker leveraging social engineering to bypass web origiEPSS 0.2%CVE-2026-87502MEDIUMConfused deputy in Fullscreen in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process andEPSS 0.2%CVE-2026-107232HIGHAsyncHttpClient: Origin credentials sent in cleartext to a proxy that rejects the CONNECTEPSS 0.2%CVE-2026-106286MEDIUMConfused deputy in Omnibox in Google Chrome prior to 155.0.8059.39 allowed a remote attacker to bypass web origin policy via crafted networkEPSS 0.2%CVE-2026-27124HIGHFastMCP: Missing Consent Verification in OAuth Proxy Callback Facilitates Confused Deputy VulnerabilitiesEPSS 0.2%CVE-2026-55430MEDIUMCoder's subdomain workspace app routing trusts unauthenticated X-Forwarded-Host header, enabling cross-app data accessEPSS 0.2%CVE-2026-53514HIGHBetter Auth: Unauthorized invitation acceptance via unverified email match in organization pluginEPSS 0.2%CVE-2026-88983MEDIUMKubeflow Pipelines — API server fetches a caller-supplied pipelineURL without host validationEPSS 0.2%CVE-2026-108261CRITICALTinaCMS admin preview iframe loads an attacker-controlled origin from the URL fragmentEPSS 0.2%CVE-2025-11393HIGHInsights-runtimes-tech-preview/runtimes-inventory-rhel8-operator: improper proxy configuration allows unauthorized administrative commandsEPSS 0.2%CVE-2026-91742MEDIUMConfused deputy in PriceTracking in Google Chrome on on iOS prior to 153.0.8010.47 allowed a remote attacker leveraging social engineering tEPSS 0.2%CVE-2026-95361MEDIUMConfused deputy in DevTools in Google Chrome prior to 154.0.8037.57 allowed a remote attacker leveraging social engineering to bypass web orEPSS 0.2%CVE-2025-66415MEDIUMfastify-reply-from bypass of reply forwardingEPSS 0.2%CVE-2026-107282CRITICALAsyncHttpClient: Replay to a different host sends the original host request and credentials to the new hostEPSS 0.2%CVE-2026-13062HIGHMongoDB mongos Improper Validation of Internal Flags in Queryable Encryption Write Commands on Sharded ClustersEPSS 0.2%CVE-2026-118687HIGHCoder before 2.29.21, 2.34.12, 2.35.9, 2.36.7, and 2.37.4 Missing Audience Validation in GCP Instance-Identity AuthenticationEPSS 0.2%CVE-2026-72668HIGHUnintended Proxy or Intermediary ('Confused Deputy') in Kibana Leading to Privilege EscalationEPSS 0.2%CVE-2026-36608HIGHMercusys AC12G (EU) V1 router with firmware AC12G(EU)_V1_200909 allows UPnP AddPortMapping to forward external ports to the router's own admEPSS 0.2%